Wie Schweizer Banken ihre Bankgeheimnis-Tradition wahren und gleichzeitig internationale Anforderungen an den Datenaustausch erfüllen

Schweizer Banken stehen vor einem Compliance-Dilemma, das das Herzstück der Schweizer Finanzidentität betrifft. Der Common Reporting Standard (CRS) verlangt den automatischen Austausch von Finanzkontoinformationen mit ausländischen Steuerbehörden. Artikel 47 des Bankengesetzes sieht bei unbefugter Offenlegung von Kundendaten eine Strafbarkeit von bis zu drei Jahren Freiheitsstrafe und CHF 250.000 Bußgeld vor. Beide Verpflichtungen sind bindend. Keine darf ignoriert werden.

Die Lösung ist architektonisch, nicht rechtlich. Die Schweizer Gesetzgebung erlaubt explizit die CRS-Meldung und wahrt gleichzeitig den Schutz nach Artikel 47 für alle nicht meldepflichtigen Zwecke. Diese gesetzliche Grenze gilt jedoch nur, wenn die technischen Systeme, mit denen Banken die CRS-Meldung umsetzen, diese Grenze auch praktisch durchsetzen. Eine Bank, die für Kundendaten oder CRS-Workflows eine US-basierte Plattform nutzt, kann nicht garantieren, dass der Schutz nach Artikel 47 die durch diese Plattform entstehende Jurisdiktionsexponierung überlebt.

Dieser Beitrag erläutert die Anforderungen von Artikel 47 und CRS, wie kundenverwaltete Verschlüsselung und Datenhoheitsarchitektur die Grenze zwischen beiden durchsetzen und wie die praktische Umsetzung aussieht.

Executive Summary

Kernaussage: Schweizer Banken erfüllen die CRS-Pflichten zum automatischen Austausch und die Anforderungen der FINMA zur internationalen Zusammenarbeit, während sie die Vertraulichkeit nach Artikel 47 des Bankengesetzes durch eine technische Architektur wahren, die regulatorische Meldungen von Datenzugriff trennt. Kundenverwaltete Verschlüsselung stellt sicher, dass Finanzinformationen von Kunden unter exklusiver Kontrolle der Schweizer Bank geschützt bleiben und CRS-konforme Meldungen über sichere Kanäle erfolgen, ohne Daten unbefugt offenzulegen.

Warum das relevant ist: Die FINMA-Leitlinien 2024 zur internationalen Zusammenarbeit betonen, dass Schweizer Banken technische Maßnahmen implementieren müssen, damit CRS-Meldungen internationale Verpflichtungen erfüllen, ohne die Vertraulichkeitspflichten nach Artikel 47 des Bankengesetzes zu verletzen. Schweizer Banken drohen CHF 250.000 Bußgeld und bis zu drei Jahre Haft bei Verstößen gegen Artikel 47, während CRS-Nichtbeachtung aufsichtsrechtliche Sanktionen und Risiken für Korrespondenzbankbeziehungen nach sich zieht. Eine technische Architektur, die beide Anforderungen erfüllt, schützt die Banklizenz, erhält den Ruf des Schweizer Finanzplatzes und bewahrt die Wettbewerbsvorteile der Vertraulichkeitstradition.

5 wichtige Erkenntnisse

1. Artikel 47 des Bankengesetzes begründet eine Strafbarkeit für unbefugte Offenlegung von Kundendaten, die über die CRS-Meldepflichten hinausgeht. Artikel 47 schützt Kundenidentität, Kontostände, Transaktionsdetails und sämtliche Informationen über Bankbeziehungen. CRS verlangt die Meldung bestimmter Daten an Steuerbehörden, berechtigt aber nicht zum breiteren Zugriff auf Kundendaten. Schweizer Banken müssen eine Architektur implementieren, die CRS-Compliance ermöglicht, ohne Wege für unbefugte Offenlegung zu schaffen.
2. Der automatische Austausch nach CRS erfordert eine technische Infrastruktur, die die jährliche Meldung an die Eidgenössische Steuerverwaltung (ESTV) zur Übermittlung an Vertragsstaaten ermöglicht. Schweizer Banken identifizieren meldepflichtige Konten, erfassen erforderliche Daten wie Kontostände und Erträge und übermitteln die Informationen fristgerecht an die ESTV. Die technische Architektur muss die Richtigkeit der Meldungen sicherstellen und gleichzeitig den Datenzugriff auf CRS-zulässige Zwecke beschränken.
3. Die FINMA verlangt von Schweizer Banken den Nachweis technischer Maßnahmen, die CRS-Meldungen von weitergehendem Datenzugriff trennen. Die FINMA erwartet Kontrollen, die sicherstellen, dass CRS-Datenflüsse über sichere Kanäle mit Audit-Trails erfolgen und unbefugtes Personal während des Meldeprozesses keinen Zugriff auf Kundendaten erhält. Die Architektur muss nachweisen, dass CRS-Mechanismen nicht für nicht-meldepflichtige Zwecke ausgenutzt werden können.
4. Kundenverwaltete Verschlüsselung mit Bankschlüsselhoheit ermöglicht CRS-Meldungen und verhindert gleichzeitig den Zugriff von Dienstleistern auf Kundendaten. Wenn Technologieanbieter von Bankplattformen, CRM-Systemen oder Reporting-Tools kundenverwaltete Verschlüsselung implementieren, behalten Schweizer Banken die exklusive Entschlüsselungshoheit. So werden interne CRS-Prozesse ermöglicht und gleichzeitig der Zugriff von Anbietern auf Finanzdaten verhindert, der gegen Artikel 47 verstoßen würde.
5. Geografische Datenhoheit stellt sicher, dass Kundendaten während des gesamten CRS-Zyklus in der Schweiz unter Schweizer Rechtsschutz bleiben. Schweizer Banken erfüllen die FINMA-Anforderungen an Datenhoheit durch On-Premises- oder Schweizer Rechenzentrumsbetrieb mit kundenverwalteter Verschlüsselung und ermöglichen so die sichere Übermittlung von CRS-Meldungen an die ESTV. Daten verlassen niemals unverschlüsselt die Schweiz oder werden für ausländische Stellen zugänglich.

Pflichten nach Artikel 47 des Bankengesetzes und CRS-Meldeanforderungen

Artikel 47 des Schweizer Bankengesetzes sieht bei unbefugter Offenlegung von Kundengeheimnissen Strafen von bis zu drei Jahren Freiheitsstrafe und CHF 250.000 Bußgeld vor. Die Pflicht betrifft Bankorgane, Mitarbeitende und Drittanbieter, die Kundendaten verarbeiten. Artikel 47 schützt Kundenidentität, Kontostände, Transaktionsdetails und sämtliche Informationen über Bankbeziehungen.

Die Schweiz hat den Konflikt zwischen Artikel 47 und CRS gesetzlich gelöst – die Architektur muss die Grenze technisch durchsetzen

CRS, umgesetzt durch das Bundesgesetz über den internationalen automatischen Informationsaustausch in Steuersachen, verpflichtet Schweizer Banken zur Meldung von Finanzkontoinformationen für Steuerinländer von Vertragsstaaten. Zu meldende Daten sind u. a. Kontoinhaber, Kontostand, Zins- und Dividendenerträge sowie Erlöse aus dem Verkauf von Finanzanlagen. Die Schweiz hat den Konflikt durch eine Gesetzgebung gelöst, die CRS-Meldungen explizit erlaubt und gleichzeitig den Schutz nach Artikel 47 für nicht-meldepflichtige Zwecke wahrt – diese Grenze gilt jedoch nur, wenn sie technisch durchgesetzt wird.

Schweizer Banken haften nach Artikel 47, wenn Kundendaten über CRS-Zwecke hinaus zugänglich werden

Schweizer Banken dürfen CRS-Daten rechtmäßig an die ESTV zur Weiterleitung an Vertragsstaaten melden, haften jedoch nach Artikel 47, wenn Kundendaten während des Meldeprozesses unbefugt zugänglich werden. Die technische Architektur muss daher CRS-Compliance über kontrollierte Wege ermöglichen und gleichzeitig breiteren Zugriff verhindern. Schweizer Banken setzen getrennte Meldesysteme ein, bei denen CRS-Daten über sichere Prozesse extrahiert, verschlüsselt an die ESTV übertragen und mit Audit-Trails belegt werden, dass keine unbefugte Partei – auch nicht Technologieanbieter, Cloud-Provider oder ausländische Stellen – Zugriff hatte.

FINMA-Erwartungen an die technische Architektur

Die FINMA-Leitlinien zur internationalen Zusammenarbeit betonen, dass Schweizer Banken bei der Umsetzung von CRS-Meldungen weiterhin für die Vertraulichkeit der Kundendaten verantwortlich bleiben. Die Auslagerung der Artikel-47-Compliance ist nicht zulässig – auch beim Einsatz von Technologieanbietern für Reporting-Infrastruktur bleibt die strafrechtliche Haftung für unbefugte Offenlegung bei der Bank.

FINMA erwartet vier technische Kontrollen, die gemeinsam unbefugten Datenzugriff verhindern

Die FINMA erwartet technische Kontrollen wie kundenverwaltete Verschlüsselung mit Bankschlüsselhoheit, Zugriffskontrollen, die unbefugtes Personal während der Meldung ausschließen, Audit-Logging zur Nachverfolgung sämtlicher Zugriffe auf CRS-Daten mit Nachweis fehlender unbefugter Offenlegung sowie geografische Datenhoheit, sodass Kundendaten nie über nicht-schweizerische Infrastruktur laufen. Diese Anforderungen spiegeln die FINMA-Position wider, dass CRS-Compliance nicht auf Kosten der Schweizer Bankgeheimnistradition gehen darf.

Banken ohne nachweislich getrennte Meldearchitektur drohen aufsichtsrechtliche Maßnahmen

Obwohl CRS-Meldungen internationale Verpflichtungen erfüllen, muss der Meldeprozess technische Maßnahmen nachweisen, die Datenzugriffe über zulässige Zwecke hinaus verhindern. Banken, die keine getrennte Meldearchitektur nachweisen können, drohen aufsichtsrechtliche Maßnahmen wegen unzureichender Kontrollen nach Artikel 47 – die technische Trennung von Meldung und Zugriff ist regulatorische Pflicht, nicht nur Best Practice.

FINMAs Cloud- und Outsourcing-Rundschreiben 2024 erstreckt diese Anforderungen auf jede Anbieterbeziehung

Das FINMA-Rundschreiben 2024 zu Cloud Computing und Outsourcing verstärkt diese Anforderungen. Schweizer Banken, die Technologieplattformen für die Verarbeitung von Kundendaten nutzen, müssen sicherstellen, dass diese Plattformen kundenverwaltete Verschlüsselung implementieren und Technologieanbieter keinen Zugriff auf Finanzdaten erhalten. Dies gilt für Kernbankensysteme, sichere Filesharing-Lösungen, Kommunikationsplattformen und Reporting-Infrastruktur – jedes System mit Kundendaten unterliegt dem gleichen Standard nach Artikel 47.

Kundenverwaltete Verschlüsselungsarchitektur für doppelte Compliance

Kundenverwaltete Verschlüsselung ermöglicht es Schweizer Banken, sowohl die Vertraulichkeit nach Artikel 47 als auch die CRS-Meldepflichten zu erfüllen, indem sie die exklusive Kontrolle über die Entschlüsselung von Kundendaten behalten und gleichzeitig sichere Meldungen an die ESTV ermöglichen.

In Schweizer HSMs unter Bankkontrolle generierte Schlüssel sind die Grundlage der Artikel-47-Compliance

Die Umsetzung beginnt mit der Schlüsselerzeugung unter exklusiver Kontrolle der Schweizer Bank. Die Schlüssel werden in Hardware-Sicherheitsmodulen (HSMs) generiert, die On-Premises in Bankgebäuden oder in Schweizer Rechenzentren unter Bankkontrolle betrieben werden. Die Bank kontrolliert den gesamten Lebenszyklus der Schlüssel – Erzeugung, Speicherung, Rotation, Löschung – ohne Einbindung von Technologieanbietern. Schlüssel verlassen nie die Schweiz und sind für ausländische Stellen nicht zugänglich.

Verschlüsselung von Kundendaten bei der Aufnahme ermöglicht Anbietern die Verarbeitung, ohne Daten einzusehen

Wenn Finanzdaten von Kunden in Bankensysteme gelangen – Kontoeröffnungen, Transaktionen, Depotbestände, Korrespondenz – erfolgt die Verschlüsselung sofort mit bankkontrollierten Schlüsseln. Die verschlüsselten Daten können auf unterschiedlicher Infrastruktur liegen, da Technologieanbieter keine Entschlüsselungsmöglichkeit besitzen. Dies erfüllt Artikel 47, indem unbefugter Zugriff verhindert wird, und ermöglicht gleichzeitig die Verarbeitung für zulässige Zwecke wie CRS-Meldungen.

CRS-Meldungen erfolgen vollständig innerhalb bankkontrollierter Infrastruktur, ohne Anbietereinblick

Für CRS-Meldungen entschlüsseln Schweizer Banken die Daten in sicheren, exklusiv kontrollierten Umgebungen, extrahieren die erforderlichen Elemente, erstellen Berichte und übermitteln diese verschlüsselt an die ESTV. Der gesamte Meldeprozess findet innerhalb bankkontrollierter Infrastruktur statt, sodass Technologieanbieter während der CRS-Compliance keinen Zugriff auf Kundendaten erhalten. Audit-Trails belegen, dass die Daten während des gesamten Meldezyklus unter exklusiver Bankkontrolle blieben.

Die Architektur trennt Datenzugriff von Datenverarbeitung – der Schlüssel zur Erfüllung beider Pflichten

Diese Architektur trennt Datenzugriff (durch Artikel 47 eingeschränkt) von Datenverarbeitung (durch CRS gefordert). Technologieanbieter können verschlüsselte Bankplattformen betreiben, verschlüsselte Datenspeicherung und verschlüsselte Kommunikationskanäle bereitstellen, ohne Klartext-Kundendaten einzusehen. Schweizer Banken behalten die exklusive Zugriffsmöglichkeit für CRS-Meldungen und verhindern Anbieterzugriff, der eine Haftung nach Artikel 47 begründen würde. Diese Trennung ist die technische Umsetzung der gesetzlichen Grenze zwischen zulässiger Meldung und verbotener Offenlegung.

Geografische Datenhoheit und Schweizer Infrastruktur

Schweizer Banken, die geografische Datenhoheit umsetzen, stellen sicher, dass Kundendaten während der gesamten Bankbeziehung und des CRS-Zyklus in der Schweiz unter Schweizer Rechtsschutz bleiben. Damit erfüllen sie die FINMA-Anforderung, dass Kundendaten nicht in ausländische Jurisdiktionen gelangen, in denen die Einhaltung von Artikel 47 nicht garantiert werden kann.

On-Premises- und Schweizer Private-Cloud-Betrieb bieten unterschiedliche Souveränitäts-Trade-offs

On-Premises-Betrieb bietet maximale Souveränität mit Infrastruktur in Bankgebäuden, erfordert jedoch hohe Investitionen. Die Schweizer Private Cloud bietet einen ausgewogenen Ansatz mit Infrastruktur in Schweizer Rechenzentren unter Schweizer Recht, kombiniert mit kundenverwalteter Verschlüsselung und reduziertem Betriebsaufwand. Hybride Architekturen ermöglichen den Betrieb kritischer Systeme On-Premises oder in der Schweizer Private Cloud und den Einsatz verschlüsselter Plattformen für spezielle Funktionen. Entscheidend ist, dass Finanzdaten von Kunden niemals unverschlüsselt die Schweiz verlassen und Anbieter nie Entschlüsselungsrechte erhalten.

Internationale Aktivitäten erfordern getrennte Architektur zur Vermeidung von Vermischung Schweizer und ausländischer Kundendaten

Für internationale Aktivitäten implementieren Schweizer Banken mit ausländischen Tochtergesellschaften eine getrennte Architektur, bei der Schweizer Kundendaten in der Schweiz verbleiben und Daten ausländischer Tochtergesellschaften lokal verarbeitet werden. So wird eine Vermischung verhindert und der Schutz nach dem Bankengesetz gilt ausschließlich für Beziehungen mit Sitz in der Schweiz. Diese Trennung ist nicht nur administrativ – sie muss architektonisch durchgesetzt werden, um einer FINMA-Prüfung standzuhalten und den Wortlaut von Artikel 47 zu erfüllen.

CRS-Meldeprozess mit technischen Kontrollen

Schweizer Banken setzen den CRS-Meldeprozess über kontrollierte Abläufe um, die Compliance und Vertraulichkeit gewährleisten. Der jährliche Zyklus umfasst die Identifikation meldepflichtiger Konten, die Extraktion der Daten, Validierung, Berichtserstellung und Übermittlung an die ESTV.

Kontenidentifikation und Datenextraktion müssen in bankkontrollierten, verschlüsselten Umgebungen erfolgen

Die Kontenidentifikation bestimmt anhand der Steuerinländer-Eigenschaft, welche Beziehungen meldepflichtig sind, und nutzt dazu Selbstauskunftsformulare und Dokumentenprüfungen in bankkontrollierten Systemen mit verschlüsselten Kundendaten. Die Datenextraktion erfasst die CRS-Elemente wie Kontoinhaber, Jahresendstand, Zins- und Dividendenerträge sowie Bruttoerlöse. Die Banken entschlüsseln die Daten in sicheren Umgebungen, extrahieren die Elemente und befüllen die Reporting-Templates über automatisierte Prozesse, die den menschlichen Zugriff minimieren und Audit-Trails erhalten.

Berichtserstellung und Übermittlung an die ESTV müssen alle nicht CRS-relevanten Daten ausschließen

Die Berichtserstellung erzeugt XML-Dateien gemäß OECD-CRS-Schema in sicheren Systemen, signiert digital und verschlüsselt sie für die Übermittlung an die ESTV. Die Berichte enthalten ausschließlich CRS-relevante Elemente und schließen explizit zusätzliche Informationen aus, die durch Artikel 47 geschützt sind. Die Übermittlung an die ESTV erfolgt über sichere Kanäle, sodass Daten nie über nicht-schweizerische Infrastruktur laufen und Anbieter keinen Zugriff auf die Inhalte erhalten. Die Disziplin, Berichte auf die erforderlichen Elemente zu beschränken, ist keine administrative Ordnung, sondern eine direkte Compliance-Anforderung nach Artikel 47.

Anforderungen an Technologieanbieter für Schweizer Banken-Compliance

Schweizer Banken verlangen von Technologieanbietern eine Architektur, die Artikel 47 erfüllt und gleichzeitig CRS-Compliance ermöglicht. Die Auswahl und Steuerung von Anbietern ist selbst eine Compliance-Pflicht nach dem FINMA-Outsourcing-Rundschreiben – nicht nur eine Beschaffungsfrage.

Pflichtfähigkeiten der Anbieter: Schweizer Deployment und technische Garantien gegen Datenzugriff

Pflichtfähigkeiten sind kundenverwaltete Verschlüsselung mit Bankschlüsselhoheit über On-Premises- oder Schweizer HSMs, Schweizer Deployment für Verarbeitung innerhalb der Schweiz, technische Garantien gegen Anbieterzugriff und Audit-Fähigkeiten zum Nachweis, dass Anbieter nie Klartextdaten gesehen haben. Anbieter müssen Schlüsselmanagement, Datenflüsse, Zugriffskontrollen und Deployment-Optionen dokumentieren. Banken prüfen, dass Plattformen keine Kundendaten entschlüsseln können und Anbieterpersonal keinen Zugriff auf Systeme mit Klartextdaten erhält.

Vertragliche Regelungen müssen Regierungsanfragen und Haftung bei Artikel-47-Verstößen abdecken

Vertragliche Regelungen sollten die Umsetzung der kundenverwalteten Verschlüsselung, das Verbot des Anbieterzugriffs, geografische Verarbeitungsbeschränkungen, Meldepflichten bei Regierungsanfragen und die Haftung für Verstöße gegen Artikel 47 durch Sicherheitslücken des Anbieters festlegen. Besonders wichtig ist die Meldepflicht bei Regierungsanfragen: Erhält ein Anbieter eine ausländische Regierungsanfrage, muss er die Schweizer Bank umgehend informieren, damit diese rechtliche Schritte einleiten kann, bevor eine Offenlegung erfolgt.

Laufende Anbieterprüfungen sichern die Einhaltung von Artikel 47 dauerhaft ab

Banken führen laufende Prüfungen durch, um die Einhaltung von Artikel 47 zu sichern. Sie kontrollieren Zugriffprotokolle, prüfen Schlüsselmanagement-Prozesse und bestätigen, dass das Schweizer Deployment weiterhin aktiv ist. Anbieterbeziehungen, die bei Onboarding FINMA-Anforderungen erfüllen, können durch Infrastrukturänderungen, Eigentümerwechsel oder operative Anpassungen aus der Compliance geraten – laufende Prüfungen erkennen diese Risiken, bevor sie eine Exponierung nach Artikel 47 verursachen.

Wettbewerbsvorteile durch Bankgeheimnis-Architektur

Schweizer Banken, die eine Architektur umsetzen, die sowohl Artikel 47 als auch CRS erfüllt, bewahren Wettbewerbsvorteile aus der Bankgeheimnistradition und demonstrieren internationale Kooperation. Diese Positionierung zieht Kunden an, die Wert auf Vertraulichkeit im Rahmen von Compliance legen – eine Kombination, die Wettbewerber in weniger schutzorientierten Jurisdiktionen nicht glaubhaft bieten können.

Vermögende Kunden wählen Schweizer Banken, die technischen Schutz über vertragliche Zusagen hinaus nachweisen

Vermögende Privatkunden wählen Schweizer Banken, die technische Maßnahmen zum Schutz der Vertraulichkeit nachweisen. Kundenverwaltete Verschlüsselung und Schweizer Datenhoheit belegen, dass Informationen über vertragliche Zusagen hinaus geschützt bleiben und die Architektur unbefugten Zugriff verhindert – unabhängig von ausländischen Regierungsforderungen. Das ist ein wesentlich stärkerer Schutz als das bloße Versprechen, Regierungsanfragen zu widerstehen – Versprechen, die durch ausländische Gesetze ausgehebelt werden können, während Architektur den Zugriff technisch ausschließt.

Technische Souveränität differenziert Schweizer Banken von Jurisdiktionen mit weitergehenden Zugriffsrechten für Regierungen

Internationale Kunden mit hohen Sicherheitsanforderungen wählen Schweizer Banken gegenüber Alternativen ohne vergleichbaren Vertraulichkeitsschutz. Technische Nachweise für kundenverwaltete Verschlüsselung, Schweizer Infrastruktur und Kontrollen gegen ausländischen Regierungszugriff schaffen Differenzierung gegenüber Jurisdiktionen mit weitergehenden Zugriffsrechten – etwa US-Banken unter dem CLOUD Act oder britischen Banken im Rahmen des Investigatory Powers Act. Schweizer Banken, die technische Souveränität vermarkten, positionieren die Schweiz als Kombination aus internationaler Kooperation und robuster Vertraulichkeit durch Architektur statt rechtlicher Intransparenz.

Umsetzungsaspekte

Schweizer Banken, die kundenverwaltete Verschlüsselung und Datenhoheitsarchitektur implementieren, stehen vor Entscheidungen zu Infrastruktur, Schlüsselmanagement, Anbieterauswahl und operativen Abläufen.

Die Wahl des Infrastrukturmodells bestimmt Souveränitätstiefe und operative Komplexität

Infrastrukturmodelle umfassen On-Premises für maximale Kontrolle und eindeutige Artikel-47-Compliance, Schweizer Private Cloud als Balance zwischen Souveränität und Effizienz oder hybride Ansätze mit kritischen Systemen On-Premises und verschlüsselten Plattformen für spezielle Funktionen. Die Auswahl hängt von Bankgröße, technischer Ausstattung und Souveränitätsanforderungen je Kundensegment ab. Größere Banken mit eigenen Infrastrukturteams bevorzugen On-Premises für maximale Kontrolle; kleinere Privatbanken erreichen mit Schweizer Private Cloud praktisch gleichwertige Souveränität.

Das Schlüsselmanagement muss sicherstellen, dass Schlüssel in der Schweiz unter exklusiver Bankkontrolle bleiben

Schlüsselmanagement-Optionen sind On-Premises-HSMs mit vollständiger Bankkontrolle, Schweizer HSM-Services wie SwissSign für Souveränität bei ausgelagertem Betrieb oder virtuelle HSM-Appliances für kundenverwaltetes Schlüsselmanagement ohne dedizierte Hardware. Alle Ansätze müssen sicherstellen, dass Schlüssel in der Schweiz unter exklusiver Bankkontrolle bleiben – unabhängig vom Modell. Entscheidend ist das Ergebnis: Kein nicht-schweizerisches Unternehmen darf jemals Zugriff auf Schlüsselmaterial erhalten.

Operative Abläufe müssen Anbietersupport ermöglichen, ohne Zugriffswege auf Kundendaten zu schaffen

Operative Abläufe erfordern Anpassungen, um Anbieterzugriff auszuschließen und gleichzeitig CRS-Meldungen zu ermöglichen. Banken implementieren kundenkontrollierte Freigabeprozesse für Support-Aktivitäten, entwickeln Notfallverfahren mit vollständigen Audit-Trails für Ausnahmezugriffe und schaffen Diagnosetools, die Anbietersupport ohne Datenoffenlegung ermöglichen. Ziel ist eine funktionale Zusammenarbeit mit Anbietern, die sowohl den Servicebedarf der Bank als auch das Zugriffsverbot nach Artikel 47 erfüllt.

Wie Kiteworks Schweizer Banken Vertraulichkeit und CRS-Compliance ermöglicht

Schweizer Banken erfüllen CRS-Pflichten zum automatischen Austausch und FINMA-Anforderungen zur internationalen Zusammenarbeit, während sie die Vertraulichkeit nach Artikel 47 des Bankengesetzes durch eine technische Architektur wahren, die regulatorische Meldungen von Datenzugriff trennt. Artikel 47 begründet eine Strafbarkeit für unbefugte Offenlegung; CRS verlangt jährliche Meldungen an die ESTV. Kundenverwaltete Verschlüsselung vereint diese Anforderungen, indem Schweizer Banken die exklusive Entschlüsselungshoheit behalten – Anbieter verarbeiten verschlüsselte Daten, Banken führen CRS-Meldungen in kontrollierten Umgebungen durch und Audit-Trails belegen die Einhaltung der Grenze.

Kiteworks bietet Schweizer Banken eine kundenverwaltete Verschlüsselungsarchitektur, die sowohl die Vertraulichkeit nach Artikel 47 als auch die CRS-Meldepflichten erfüllt. Die Plattform nutzt bankkontrollierte Verschlüsselungsschlüssel, die nie die Schweizer Infrastruktur verlassen – selbst bei Behördenanfragen hat Kiteworks technisch keinen Zugriff auf Finanzdaten von Kunden.

Die Plattform unterstützt Schweizer Deployment, darunter On-Premises-Installation in Bankgebäuden, Private-Cloud-Betrieb in Schweizer Rechenzentren unter Bankkontrolle und gehärtete virtuelle Appliances für Souveränität bei einfacher Bedienung. Schweizer Banken behalten die exklusive Kontrolle über Kundendaten und ermöglichen gleichzeitig sichere Kommunikation, Filesharing und Reporting-Prozesse für die CRS-Compliance.

Kiteworks integriert sichere E-Mail, Filesharing, Managed File Transfer und Web-Formulare in eine einheitliche Architektur, die Schweizer Banken die Kommunikation mit Kunden und die Übermittlung von CRS-Meldungen über souveräne Plattformen ermöglicht. Kundenverwaltete Verschlüsselung schützt Kundendaten, während Audit-Logging belegt, dass kein unbefugter Zugriff während der Verarbeitung erfolgt ist.

Für Schweizer Banken, die CRS-Meldeinfrastruktur implementieren, ermöglicht die Kiteworks-Architektur die sichere Übermittlung von Meldungen an die ESTV über verschlüsselte Kanäle bei gleichzeitiger Wahrung der Vertraulichkeit. Banken erstellen CRS-Berichte in kontrollierten Umgebungen, verschlüsseln sie für die Übertragung mit bankverwalteten Schlüsseln und übermitteln sie über Kiteworks-Plattformen, ohne Klartextdaten an Kiteworks-Personal oder -Infrastruktur preiszugeben.

Erfahren Sie mehr darüber, wie Kiteworks Schweizer Banken unterstützt, das Bankgeheimnis zu wahren und internationale Anforderungen an den Datenaustausch zu erfüllen – vereinbaren Sie noch heute eine individuelle Demo.

Weitere Ressourcen

• Blogbeitrag  
  Datenhoheit: Best Practice oder regulatorische Pflicht?
• eBook  
  Datenhoheit und DSGVO
• Blogbeitrag  
  Vermeiden Sie diese Stolperfallen bei der Datenhoheit
• Blogbeitrag  
  Best Practices für Datenhoheit
• Blogbeitrag  
  Datenhoheit und DSGVO [Verständnis von Datensicherheit]